CVE-2025-30066

Exp

tj-actions changed-files before 46 allows remote attackers to discover secrets by reading actions logs. (The tags v1 through v45.0.7 were affected on 2025-03-14 and 2025-03-15 because they were modified by a threat actor to point at commit 0e58ed8, which contained malicious updateFeatures code.)

公開： 2025-03-15 最終更新： 2026-06-17 Assigner： [email protected] ソース： [email protected]
NVD ステータス：Analyzed，CVE の状態： published
参照： NVD, CVE.org, EUVD, JVN

CVE-2025-30066 は在野悪用が確認された重大脅威（90.2/100）。CVSS 深刻度は高。悪用される可能性が高い（EPSS 41.01%、98 パーセンタイル） CISA KEV に登録（追加日 2025-03-18）。tj-actions / changed-files GitHub Action が対象で、弱点分類 CWE-506の悪用が確認されています。未認証でリモート管理権限を奪取されるリスクが極めて高い。 CISA の対応期限を過ぎています。緊急のパッチ適用を最優先に検討してください。

リスクは変動します。再評価に基づき、本ページの表示内容を更新しています。

CVE-2025-30066 の CISA KEV レコード

名称: tj-actions/changed-files GitHub Action Embedded Malicious Code Vulnerability · CISA KEV の詳細

悪用情報の追加日: 2025-03-18

対応期限: 2025-04-08

求められる対応: Apply mitigations as set forth in the CISA instructions linked below. Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-30066 に関する公開 exploit 参照（Exploit-DB）

EDB-ID ソース 種別 公開 リンク
— nvd_ref exploit_tag Exploit-DB ↗
— nvd_ref exploit_tag Exploit-DB ↗

CVE-2025-30066 の EPSS（Exploit Prediction Scoring System）スコア

EPSS は日次で悪用されやすさの相対度合いを推定します。パーセンタイルは採点済み CVE の中での相対位置（高いほど相対的に深刻）を示します。

# 日付 旧 EPSS スコア 新 EPSS スコア Δ（新 − 旧）
1 2026-06-23 44.68% 41.01% -3.68%
2 2026-06-16 43.63% 44.68% +1.05%
3 2026-06-15 — 43.63% —

EPSS の全履歴 （全 67 件）

CVE-2025-30066 の CVSS（Common Vulnerability Scoring System）指標

この CVE の CVSS 指標。

ベーススコア バージョン 深刻度 ベクトル 悪用しやすさ 影響 スコアの出典
8.6 3.1 HIGH
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N クリックして展開
攻撃ベクター (AV:N)
インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L)
攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:N)
事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。
ユーザーの関与 (UI:N)
メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:C)
脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:H)
広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:N)
改ざん・なりすましによる信頼毀損は軽微か、想定されない。
可用性への影響 (A:N)
業務継続に支障が出るレベルの停止や劣化は想定されない。
 3.9 4.0 [email protected]
8.6 3.1 HIGH
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N クリックして展開
攻撃ベクター (AV:N)
インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L)
攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:N)
事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。
ユーザーの関与 (UI:N)
メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:C)
脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:H)
広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:N)
改ざん・なりすましによる信頼毀損は軽微か、想定されない。
可用性への影響 (A:N)
業務継続に支障が出るレベルの停止や劣化は想定されない。
 3.9 4.0 [email protected]

CVE-2025-30066 の弱点分類（列挙）

CVE-2025-30066 の GitHub Security Advisory

GHSA-mrrh-fwg8-r2c3 · 深刻度： high · エコシステム： actions — tj-actions changed-files through 45.0.7 allows remote attackers to discover secrets by reading actions logs.

CVE-2025-30066 の影響を受けるソフトウェア／構成

ベンダー 製品 バージョン 生の CPE
tj-actions changed-files <= 45.0.7 cpe:2.3:a:tj-actions:changed-files:*:*:*:*:*:*:*:*

CVE-2025-30066 の参考情報

URL タグ
https://blog.gitguardian.com/compromised-tj-actions/ Exploit Third Party Advisory
https://github.com/chains-project/maven-lockfile/pull/1111 Issue Tracking
https://github.com/espressif/arduino-esp32/issues/11127 Issue Tracking
https://github.com/github/docs/blob/962a1c8dccb8c0f66548b324e5b921b5e4fbc3d6/content/actions/security-for-github-actions/security-guides/security-hardening-for-github-actions.md?plain=1#L191-L193 Product
https://github.com/modal-labs/modal-examples/issues/1100 Issue Tracking
https://github.com/rackerlabs/genestack/pull/903 Issue Tracking
https://github.com/tj-actions/changed-files/blob/45fb12d7a8bedb4da42342e52fe054c6c2c3fd73/README.md?plain=1#L20-L28 Product
https://github.com/tj-actions/changed-files/issues/2463 Issue Tracking
https://github.com/tj-actions/changed-files/issues/2464 Issue Tracking
https://github.com/tj-actions/changed-files/issues/2477 Issue Tracking
https://news.ycombinator.com/item?id=43367987 Issue Tracking Third Party Advisory
https://news.ycombinator.com/item?id=43368870 Issue Tracking Third Party Advisory
https://semgrep.dev/blog/2025/popular-github-action-tj-actionschanged-files-is-compromised/ Third Party Advisory
https://sysdig.com/blog/detecting-and-mitigating-the-tj-actions-changed-files-supply-chain-attack-cve-2025-30066/ Mitigation Third Party Advisory
https://web.archive.org/web/20250315060250/https://github.com/tj-actions/changed-files/issues/2463 Issue Tracking
https://www.stepsecurity.io/blog/harden-runner-detection-tj-actions-changed-files-action-is-compromised Exploit Mitigation Third Party Advisory
https://www.stream.security/post/github-action-supply-chain-attack-exposes-secrets-what-you-need-to-know-and-how-to-respond Third Party Advisory
https://www.sweet.security/blog/cve-2025-30066-tj-actions-supply-chain-attack Third Party Advisory
https://www.wiz.io/blog/github-action-tj-actions-changed-files-supply-chain-attack-cve-2025-30066 Third Party Advisory
https://www.cisa.gov/news-events/alerts/2025/03/18/supply-chain-compromise-third-party-github-action-cve-2025-30066 Third Party Advisory US Government Resource
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-30066 US Government Resource
cvelogic Threat Intelligence